CVE-2017-8406
Təsvir
D-Link DCS-1130 cihazlarında bir problem aşkar edilmişdir. Cihaz, veb serverə kimin daxil ola biləcəyi ilə bağlı heç bir məhdudiyyət tətbiq edilməmiş crossdomain.xml faylı təqdim edir. Bu, istənilən domendə yerləşən flash faylının cihazın veb serverinə sorğular göndərməsinə və cihazda saxlanılan hər hansı məlumatı əldə etməsinə şərait yaradır. Bu halda, istifadəçi etibarlılıq məlumatları cihazda açıq mətndə saxlanılır və asanlıqla əldə edilə bilər. Həmçinin görünür ki, cihaz saytlararası skriptinq (XSS) saxtakarlığına qarşı heç bir mühafizə mexanizmi tətbiq etmir; bu isə hücumçuya veb idarəetmə interfeysində daxil olmuş istifadəçini aldataraq onun brauzerində cross-site flashing hücumunu həyata keçirməyə və veb idarəetmə interfeysi tərəfindən təmin edilən hər hansı hərəkəti icra etməyə imkan verir. Bu yolla tools_admin.cgi faylının cavabından etibarlılıq məlumatları oğurlanır və Textfield daxilində göstərilir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dlink dcs-1130_firmware | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.